> А разве не пхп и жс должны за первое место спорить?

Напомните пожалуйста, PHP и JS уже "selfhosted" или все еще "уже почти да, но все еще нет"?
И значит ли это , что дыры в интерпретаторе JS (пых мне искать лень), как и всей той куче (под)компонентов, благодаря которым JS вообще запускается -- проблемы  плюсанутых-сишников и никак не затрагивают гордых архитекторов приложений в мировой паутине ☺?

https://www.cvedetails.com/vulnerability-list/vendor_id-1224...
> which allows remote attackers to cause a denial of service (memory corruption) or possibly have unspecified other impact via crafted JavaScript code.
> mishandles external string sizes, which allows remote attackers to cause a denial of service (out-of-bounds read) via crafted JavaScript code.

https://www.cvedetails.com/cve/CVE-2013-6640/
> he DehoistArrayIndex function in hydrogen-dehoist.cc (aka hydrogen.cc) in Google V8 before 3.22.24.7, as used in Google Chrome before 31.0.1650.63, allows remote attackers to cause a denial of service (out-of-bounds read) via JavaScript code that sets a variable to the value of an array element with a crafted index.    
>